This PPT contains shrem II data case study

1. Facebook Irish
FB Irish基于美国-欧盟“隐私盾”（Privacy Shield）以及标准合同，将大量
欧洲居民个人信息传输至美国的行为是否违法？
CJEU：
 隐私盾无法满足“充分决定”，在欧洲居民个人
信息被传输至美国后，无法为欧洲居民个人信息
提供同等保护；
 SCC有效，但SCC的使用必须进行个案分析，
SCC+额外措施 = 适当保障措施（appropriate
safeguards）后，才是满足法律要求的跨境工具
 美国国家机关处理欧洲居民个人信息的行为没有得到有效控制：
- GDPR 适用于由在成员国设立的经济运营商出于商业目的向在第三国设立的另一
经济运营商传输个人数据的行为，即使在接受国，个人数据将由出于公共安全、
国防和国家安全目的的国家当局处理。
- 美国国家安全、公共利益和执法的要求实际上干涉了数据被转移到那里的人的基
本权利。这些对个人数据保护的限制不符合欧盟宪法将个人数据作为基本人权进
行保护的要求。
 不符合比例性原则
- 无权力限制： 美国FISA法规授权美国情报机关对非美国公民和位于境外的个人进
行监视，要可以此为基础要求互联网服务商提供全量数据。
- 无宪法保护：美国宪法第四纠正案不适用于外国居民。
- 无诉讼权利：美国监控计划中的条款没有授予数据主体在法庭上针对美国当局的
可诉权利。
 SCC有效性认定+额外措施
- 依然有效：仅仅因为 SCC 无法约束美国国家当局，并不代表SCC自始
无效。
- 防止盲目使用：SCC 的有效性确实取决于是否存在有效的适当保护机
制，可以确保遵守欧盟法律要求的保护水平。值得注意的是，法院在
这里裁定，SCC 本身确实提供了此类机制。如果无法遵守这些机制，
将暂停或禁止根据这些条款传输个人数据。
- 验证第三国保护水平：数据出境方和数据接收方有义务在传输之前验
证第三国的保护级别，以及是否有可能遵守 SCC 的要求。
判决结果
“隐私盾”无效
Maximillian Schrems (lawyer, privacy activist, FB user )
SCC有效但须个案分析

6. EDPB : 6步法确认跨境传输下的适当保护机制：
https://edpb.europa.eu/sites/default/files/consultation/edpb_recommendations_202001_supplementarymeas
urestransferstools_en.pdf
1.Know your transfers
2.Identify the transfer tools you are relying on
1. Adequacy decisions
2. Article 46 GDPR transfer tools (including SCCs and BCRs)
3. Derogations
3.Assess whether the Article 46 GDPR transfer tool you are relying on is effective in light of all
circumstances of the transfer
1. Transfer factors
2. Assessing third-country laws
3. Assessment outcomes
4.Adopt supplementary measures
5.Take procedural steps if you have identified effective supplementary measures
6.Re-evaluate at appropriate intervals